《电子商务安全认证优秀PPT.ppt》由会员分享，可在线阅读，更多相关《电子商务安全认证优秀PPT.ppt（95页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、电子商务安全认证电子商务安全认证你现在浏览的是第一页，共95页n电子商务安全分析n电子商务安全技术n电子商务认证技术n网络安全协议n电子商务法律规范你现在浏览的是第二页，共95页电子商务安全技术电子商务安全技术09-1009-10年中国病毒疫情及互联网安全报告年中国病毒疫情及互联网安全报告百度被黑事件百度被黑事件 视频视频1 1 视频视频2 2索尼客户资料泄露事件索尼客户资料泄露事件 视频视频1 1你现在浏览的是第三页，共95页你现在浏览的是第四页，共95页n1 1、实体安全性、实体安全性n2 2、环境安全性、环境安全性n3 3、信息安全性、信息安全性安全问题类型安全问题类型你现在浏览的是第五
2、页，共95页风险分析风险分析n1、法律风险n2、信用风险n3、信息风险n4、管理风险你现在浏览的是第六页，共95页信息风险信息风险(1)(1)窃取窃取 (2)(2)篡改篡改 (3)(3)丢失丢失 (4)4)仿冒仿冒你现在浏览的是第七页，共95页 电子商务安全的基本要求电子商务安全的基本要求1 1、可靠性要求、可靠性要求2 2、保密性要求、保密性要求3 3、完整性要求、完整性要求4 4、真实性要求、真实性要求5 5、不可抵赖性、不可抵赖性6 6、有效性要求、有效性要求 你现在浏览的是第八页，共95页1 1、可靠性、可靠性 在意外因素发生时，信息资源不受破坏的能力在意外因素发生时，信息资源不受破坏
3、的能力2 2、保密性、保密性信息的传递、存储不被非法窃取、泄漏信息的传递、存储不被非法窃取、泄漏3 3、完整性、完整性数据的一致性，即在传递过程中未发生改变数据的一致性，即在传递过程中未发生改变你现在浏览的是第九页，共95页4 4、真实性、真实性 身份的可鉴别性，交易双方身份不可仿冒身份的可鉴别性，交易双方身份不可仿冒5 5、不可抵赖性、不可抵赖性双方不能否认自己发送的信息双方不能否认自己发送的信息 6 6、有效性、有效性电子文档享有传统纸质文档相应的法律效力电子文档享有传统纸质文档相应的法律效力你现在浏览的是第十页，共95页4 电子商务的安全理念电子商务的安全理念 1、内网安全 以内网安全控
4、制为核心，将数据安全、主机安以内网安全控制为核心，将数据安全、主机安全平台安全设备用户监控和安全管理结合起来全平台安全设备用户监控和安全管理结合起来2、外网安全 不不仅仅要要着着眼眼于于置置身身其其中中的的局局部部网网络络，同同时时还还要要放放眼眼于于与与局局部部网网络络相相互互连连接接的的整整个个（公公司司、行行业业、系系统统、专专用用）IntranetIntranet网网络络以以及及InternetInternet公共网络公共网络 你现在浏览的是第十一页，共95页4.2 4.2 电子商务安全技术电子商务安全技术n身份认证技术身份认证技术 n数据加密技术数据加密技术 n数字签名技术数字签名技
5、术 n防火墙技术防火墙技术 n计算机病毒防治技术计算机病毒防治技术 你现在浏览的是第十二页，共95页1 1 身份认证技术身份认证技术 n认证技术是保证电子商务交易安全的一项重要认证技术是保证电子商务交易安全的一项重要技术。技术。n主要包括身份认证和信息认证。前者用于鉴别主要包括身份认证和信息认证。前者用于鉴别用户身份，后者用于保证通信双方的不可抵赖用户身份，后者用于保证通信双方的不可抵赖性以及信息的完整性。性以及信息的完整性。你现在浏览的是第十三页，共95页认证技术的目标认证技术的目标 n信息来源的可信性信息来源的可信性n完整性。信息没有被修改、延迟和替换；完整性。信息没有被修改、延迟和替换；
6、n不可抵赖性。发送方或接收方不能否认不可抵赖性。发送方或接收方不能否认n访问控制。拒绝非法用户访问。访问控制。拒绝非法用户访问。你现在浏览的是第十四页，共95页身份认证的基本方式身份认证的基本方式 用户身份认证的最简单、最广的一种方法就是口令方式，口令由数字字母、特殊字符等组成。这种身份认证方法操作十分简单，但最不安全不能抵御口令猜测攻击。你现在浏览的是第十五页，共95页标记方式标记方式 标记是一种用户所持有的某个秘密信息(硬件)，上面记录着用于系统识别的个人信息。你现在浏览的是第十六页，共95页人体生物学特征人体生物学特征 某某些些人人体体生生物物学学特特征征，如如指指纹纹、声声音音、DNA
7、DNA图图案案、视视网网膜膜扫扫描描图图案案进进行行身身份份认认证。证。你现在浏览的是第十七页，共95页 加密技术的基本思想就是伪装信息，使非法接入者无加密技术的基本思想就是伪装信息，使非法接入者无法理解信息的真正含义。法理解信息的真正含义。伪装就是对信息进行一组可逆的数学变换。我们称伪伪装就是对信息进行一组可逆的数学变换。我们称伪装前的原始信息为装前的原始信息为明文明文,经伪装的信息为经伪装的信息为密文密文，伪装的过程，伪装的过程为为加密加密。2 2 数据加密技术数据加密技术你现在浏览的是第十八页，共95页数据加密技术数据加密技术 n用于对信息进行加密的一组数学变换称为用于对信息进行加密的一
8、组数学变换称为加密算法加密算法。n为了有效控制加密、解密算法的实现，在这些为了有效控制加密、解密算法的实现，在这些算法的实现过程中，需要有某些只被通信双方算法的实现过程中，需要有某些只被通信双方所掌握的专门的、关键的信息参与，这些信息所掌握的专门的、关键的信息参与，这些信息就称为就称为密钥密钥。用作加密的称。用作加密的称加密密钥加密密钥，用作解，用作解密的称作密的称作解密密钥解密密钥。你现在浏览的是第十九页，共95页 网络数据加密常见的方式网络数据加密常见的方式有链路加密、节点加密和端到端加密三种。有链路加密、节点加密和端到端加密三种。链路加密链路加密D1E2明文 X结点 1D2E3明文 X结
9、点 2Dn明文 X用户 BE1明文 X用户 A E1(X)链路 1 E2(X)链路 2 En(X)链路 n E3(X)密文密文密文密文n在每一个网络节点中，消息以明文形式存在在每一个网络节点中，消息以明文形式存在你现在浏览的是第二十页，共95页节点加密方式节点加密方式D/EE2密文 y1结点 1D/EE3密文 y2结点 2Dn明文 X用户 BE1明文 X用户 A E1(X)链路 1 E2(X)链路 2 En(X)链路 n E3(X)密文密文密文密文n在每一个网络节点中，消息存在被解密的情况在每一个网络节点中，消息存在被解密的情况你现在浏览的是第二十一页，共95页端到端的加密方式端到端的加密方式
10、结点 1结点 2DK明文 X结点 nEK明文 X结点 0 EK(X)链路 1 EK(X)链路 2 EK(X)链路 n端到端链路传送的都是密文你现在浏览的是第二十二页，共95页 加密算法的三个发展阶段：加密算法的三个发展阶段：古典密码古典密码对称密钥密码（单钥密码体制）对称密钥密码（单钥密码体制）公开密钥密码（双钥密码体制）公开密钥密码（双钥密码体制）你现在浏览的是第二十三页，共95页古典加密方法古典加密方法n1 1、凯撒法、凯撒法nC=P+K MOD 26ABCDEFGHIJKLFGHIJKLMNO2 2、铁轨法、铁轨法This is a bookTiiaokhssboE Tiiaokhssb
11、oE 你现在浏览的是第二十四页，共95页 对称加密对称加密 密码体制所用的加密密钥和解密密钥相同，或实质上等同密码体制所用的加密密钥和解密密钥相同，或实质上等同（即从一个可以推出另外一个），我们称其为对称密钥、私钥（即从一个可以推出另外一个），我们称其为对称密钥、私钥或单钥密码体制。对称密钥密码体制不仅可用于数据加密，也或单钥密码体制。对称密钥密码体制不仅可用于数据加密，也可用于消息的认证。可用于消息的认证。你现在浏览的是第二十五页，共95页 对称算法又可分为序列密码和分组密码两大类。序列密对称算法又可分为序列密码和分组密码两大类。序列密码每次加密一位或一字节的明文，也称为码每次加密一位或一字
12、节的明文，也称为流密码流密码。序列密码。序列密码是手工和机械密码时代的主流方式。是手工和机械密码时代的主流方式。分组密码分组密码将明文分成固定长度的组，用同一密钥和算法对将明文分成固定长度的组，用同一密钥和算法对每一块加密，输出也是固定长度的密文。最典型的就是每一块加密，输出也是固定长度的密文。最典型的就是19771977年年美国国家标准局颁布美国国家标准局颁布DESDES算法。算法。你现在浏览的是第二十六页，共95页你现在浏览的是第二十七页，共95页单钥密码体制的单钥密码体制的优点优点是：是：安全性高且加、解密速度快安全性高且加、解密速度快其其缺点缺点是：是：1 1、进行保密通信之前，双方必
13、须通过、进行保密通信之前，双方必须通过安全信道安全信道传送所传送所用的密钥。用的密钥。2 2、密钥数目增长过快，难以管理、密钥数目增长过快，难以管理3 3、不提供完整性验证、不提供完整性验证你现在浏览的是第二十八页，共95页你现在浏览的是第二十九页，共95页2 2非对称密钥密码体制非对称密钥密码体制 若加密密钥和解密密钥不相同，从其中一个难以若加密密钥和解密密钥不相同，从其中一个难以推出另一个，则称为非对称密钥或双钥密码体制。推出另一个，则称为非对称密钥或双钥密码体制。采用双钥密码体制的主要特点是将加密和解密功采用双钥密码体制的主要特点是将加密和解密功能分开，因而可以实现多个用户加密的消息只能
14、由一能分开，因而可以实现多个用户加密的消息只能由一个用户解读，或只能由一个用户加密消息而使多个用个用户解读，或只能由一个用户加密消息而使多个用户可以解读。户可以解读。你现在浏览的是第三十页，共95页非对称加密体制非对称加密体制n在使用双钥体制时，每个用户都有一对预先选在使用双钥体制时，每个用户都有一对预先选定的密钥：一个是可以公开的，以定的密钥：一个是可以公开的，以klkl表示，另表示，另一个则是秘密的，以一个则是秘密的，以k2k2表示，公开的密钥表示，公开的密钥k1k1可可以像电话号码一样进行注册公布，因此双钥体以像电话号码一样进行注册公布，因此双钥体制又称作制又称作公钥体制公钥体制(Pub
15、lic Key System)(Public Key System)。n最有名的双钥密码体制是最有名的双钥密码体制是19771977年由年由R Rivestivest、S Shamirhamir和和A Adlemandleman等三人提出的等三人提出的RSARSA密码算法。密码算法。你现在浏览的是第三十一页，共95页你现在浏览的是第三十二页，共95页非对称加密方法的优缺点非对称加密方法的优缺点n密钥数量减少密钥数量减少n密钥的传递更安全密钥的传递更安全n实现不可抵赖性实现不可抵赖性n缺点：缺点：你现在浏览的是第三十三页，共95页3 3 数字签名技术数字签名技术n 数字签名技术是公开密钥加密技术
16、和报文分数字签名技术是公开密钥加密技术和报文分解函数相结合的产物。与加密不同，数字签名的解函数相结合的产物。与加密不同，数字签名的目的是为了保证信息的完整性和真实性。数字签目的是为了保证信息的完整性和真实性。数字签名必须保证以下三点：名必须保证以下三点：n（1 1）接受者能够核实发送者对消息的签名。）接受者能够核实发送者对消息的签名。n（2 2）发送者事后不能抵赖对消息的签名。）发送者事后不能抵赖对消息的签名。n（3 3）接受者不能伪造对消息的签名。）接受者不能伪造对消息的签名。你现在浏览的是第三十四页，共95页 指数据电文中以电子形式所含、所附用于识指数据电文中以电子形式所含、所附用于识别签
17、名人身份并表明签名人认可其中内容的数据。别签名人身份并表明签名人认可其中内容的数据。数字签名建立在公钥加密体制基础上，是公数字签名建立在公钥加密体制基础上，是公钥加密技术的另一类应用。它把公钥加密技术钥加密技术的另一类应用。它把公钥加密技术和数字摘要结合起来，形成了实用的数字签名技和数字摘要结合起来，形成了实用的数字签名技术。术。你现在浏览的是第三十五页，共95页 所谓所谓数字摘要数字摘要，是指通过单向，是指通过单向HashHash函数，将需函数，将需加密的明文加密的明文“摘要摘要”成一串固定长度成一串固定长度(如如128bit)128bit)的密的密文，不同的明文摘要成的密文其结果总是不相同
18、，文，不同的明文摘要成的密文其结果总是不相同，同样的明文其摘要必定一致，并且即使知道了摘要同样的明文其摘要必定一致，并且即使知道了摘要也不能反推出明文。也不能反推出明文。你现在浏览的是第三十六页，共95页n数字签名和验证的具体步骤如下：数字签名和验证的具体步骤如下：n报文的报文的发送方发送方从原文中生成一个数字摘要，再用从原文中生成一个数字摘要，再用发送发送方方的私钥对这个数字摘要进行加密来形成的私钥对这个数字摘要进行加密来形成发送方的发送方的数字签名数字签名。n发送方将数字签名作为附件与原文一起发送给接收方。发送方将数字签名作为附件与原文一起发送给接收方。n接收方用接收方用发送方的公钥发送方
19、的公钥对已收到的加密数字摘要进对已收到的加密数字摘要进行解密；行解密；你现在浏览的是第三十七页，共95页n接收方对收到的原文用接收方对收到的原文用HashHash算法得到算法得到接收方的数接收方的数字摘要字摘要；n将解密后的发送方数字摘要与接收方数字摘要将解密后的发送方数字摘要与接收方数字摘要进行对比，进行判断。进行对比，进行判断。你现在浏览的是第三十八页，共95页n数字签名工作原理数字签名工作原理你现在浏览的是第三十九页，共95页你现在浏览的是第四十页，共95页电子商务认证技术1、认证技术2、认证中心3、认证中心的功能4、数字证书你现在浏览的是第四十一页，共95页认证中心n承担网上安全电子交
20、易认证服务，能签发数字证书，确认用户身份的、与具体交易行为无关的第三方权威机构。你现在浏览的是第四十二页，共95页你现在浏览的是第四十三页，共95页n数字证书数字证书n标志网络用户身份信息的一系列数据，用于证明某一主体的身份及其公钥合法性的一种权威性的电子文档，由权威的第三方机构CA来签发。n数字证书必须具有唯一性和可靠性。n数字证书可以存储在多种介质上。你现在浏览的是第四十四页，共95页数字证书按照使用对象划分n个人身份证书n安全邮件证书n服务器证书nCA机构证书你现在浏览的是第四十五页，共95页n数字证书的内容n版本号（版本号（V V）n序列号（序列号（SNSNn签名算法（签名算法（AIA
21、I）n签发该证书的认证机构（签发该证书的认证机构（CACA）：）：n有效期限（有效期限（TATAn主题信息（主题信息（A A）n公钥信息（公钥信息（TPTP）你现在浏览的是第四十六页，共95页4 4 防火墙的基本概念防火墙的基本概念n 防火墙是在两个网络之间执行控制和安全策防火墙是在两个网络之间执行控制和安全策略的系统，它可以是软件，也可以是硬件，或两略的系统，它可以是软件，也可以是硬件，或两者并用。者并用。你现在浏览的是第四十七页，共95页网关(Gateway)：又称网间连接器、协议转换器。网关实质上是一个网络通向其他网络的IP地址。你现在浏览的是第四十八页，共95页n防火墙的设计策略防火墙
22、的设计策略 防火墙一般执行以下两种基本设计策略中的一种。防火墙一般执行以下两种基本设计策略中的一种。n（1 1）除非明确不允许，否则允许某种服务。）除非明确不允许，否则允许某种服务。n（2 2）除非明确允许，否则将禁止某种服务。）除非明确允许，否则将禁止某种服务。你现在浏览的是第四十九页，共95页你现在浏览的是第五十页，共95页防火墙的功能：防火墙的功能：n（1 1）防火墙是网络安全的屏障）防火墙是网络安全的屏障n（2 2）防火墙可以强化网络安全策略）防火墙可以强化网络安全策略n（3 3）对网络存取和访问进行监控审计）对网络存取和访问进行监控审计n（4 4）防止内部信息的外泄）防止内部信息的外
23、泄你现在浏览的是第五十一页，共95页防火墙的局限性：n（1）防火墙防外不防内。n（2）防火墙难于管理和配置，易造成安全漏洞。n（3）很难为用户在防火墙内外提供一致的安全策略。n（4）防火墙只实现了粗粒度的访问控制。你现在浏览的是第五十二页，共95页防火墙的种类：防火墙的种类：软件防火墙和硬件防火墙软件防火墙和硬件防火墙个人防火墙和企业级防火墙个人防火墙和企业级防火墙网络级防火墙、应用级网关、电路级网关和复网络级防火墙、应用级网关、电路级网关和复合型防火墙合型防火墙 你现在浏览的是第五十三页，共95页防火墙的种类：防火墙的种类：n1包过滤防火墙n2代理防火墙n3复合型防火墙你现在浏览的是第五十四
24、页，共95页n包过滤是一种保安机制，它控制哪些数据包可以进出网络而哪些数据包应被网络拒绝。你现在浏览的是第五十五页，共95页你现在浏览的是第五十六页，共95页包过滤型防火墙具有以下优点包过滤型防火墙具有以下优点 （1 1）处处理理包包的的速速度度比比代代理理服服务务器器快快，过过滤滤路路由由器器为为用用户户提提供供了了一一种种透透明明的的服服务务，用用户户不不用用改改变变客户端程序或改变自己的行为。客户端程序或改变自己的行为。（2 2）实实现现包包过过滤滤几几乎乎不不再再需需要要费费用用（或或极极少少的的费用），因为这些特点都包含在标准的路由器软件中。费用），因为这些特点都包含在标准的路由器软
25、件中。（3 3）包过滤路由器对用户和应用来讲是透明的。）包过滤路由器对用户和应用来讲是透明的。你现在浏览的是第五十七页，共95页包过滤型防火墙存在以下的缺点包过滤型防火墙存在以下的缺点（1 1）防火墙的维护比较困难，定义数据包过滤器）防火墙的维护比较困难，定义数据包过滤器会比较复杂，对网络管理员要求比较高会比较复杂，对网络管理员要求比较高（2 2）只能阻止一种类型的）只能阻止一种类型的IPIP欺骗，即外部主机伪装欺骗，即外部主机伪装内部主机的内部主机的IPIP，对于外部主机伪装其他可信任的外，对于外部主机伪装其他可信任的外部主机的部主机的IPIP却不可阻止。却不可阻止。（3 3）任何直接经过路
26、由器的数据包都有被用做数据驱动）任何直接经过路由器的数据包都有被用做数据驱动攻击的潜在危险。攻击的潜在危险。你现在浏览的是第五十八页，共95页n应用层网关型防火墙：应用层网关型防火墙：n 它作用在应用层，其特点是完全它作用在应用层，其特点是完全“阻隔阻隔”了网络了网络通信流，通过对每种应用服务编制专门的通信流，通过对每种应用服务编制专门的代理程序代理程序，实现监视和控制应用层通信流的作用。实际中的应实现监视和控制应用层通信流的作用。实际中的应用网关通常由专用工作站实现。用网关通常由专用工作站实现。你现在浏览的是第五十九页，共95页你现在浏览的是第六十页，共95页n电路层网关防火墙电路层网关防火
27、墙 也叫电路中继也叫电路中继(Circuit Gateway)(Circuit Gateway)或或TCPTCP代理代理（TCPTCPProxyProxy）,其工作原理与应用代理类似，其工作原理与应用代理类似，不同之处是该代理程序是专门为传输层的不同之处是该代理程序是专门为传输层的TCPTCP协协议编制的。议编制的。在电路层网关中，包被提交用户应用层在电路层网关中，包被提交用户应用层处理。电路层网关用来在两个通信的终点之间处理。电路层网关用来在两个通信的终点之间转换包转换包.你现在浏览的是第六十一页，共95页你现在浏览的是第六十二页，共95页n计算机病毒的定义计算机病毒的定义n编制或者在计算机
28、程序中插入的破坏计算机功能编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码制的一组计算机指令或者程序代码n中华人民共和国计算机信息系统安全中华人民共和国计算机信息系统安全保护条例保护条例你现在浏览的是第六十三页，共95页n按攻击的操作系统分nDOS、Windows、Unixn按传播媒介n单机、网络n按链接方式n源码型、入侵型、外壳型、操作系统型n按寄衍生方式n文件型、系统引导型、混合型你现在浏览的是第六十四页，共95页你现在浏览的是第六十五页，共95页你现在浏览的是第六十六页，共95页文
29、件病毒n大量寄生于.COM及.EXE文件中你现在浏览的是第六十七页，共95页宏病毒nWord等文档中的宏程序n使得病毒能跨平台传播n更容易编写n如Taiwan No.1n解决方法：nWord工具宏安全性你现在浏览的是第六十八页，共95页你现在浏览的是第六十九页，共95页你现在浏览的是第七十页，共95页计算机病毒的特征计算机病毒的特征n传染性传染性n破坏性破坏性n潜伏性潜伏性/可触发性可触发性n隐蔽性隐蔽性你现在浏览的是第七十一页，共95页n防毒n采取安全措施预防病毒侵入计算机 n查毒n在指定环境中准确地报出病毒名称n解毒n根据病毒类型对感染对象的修改，并按照病毒的感染特性所进行的恢复。n但恢复
30、过程不能破坏未被病毒修改的内容 你现在浏览的是第七十二页，共95页1 1、静态病毒防治、静态病毒防治 对已知病毒的预防对已知病毒的预防2 2、实时病毒防治、实时病毒防治 动态检测和主动杀毒动态检测和主动杀毒你现在浏览的是第七十三页，共95页SSL协议协议nSSL（Secure Sockets Layer）安全套接层协议是Netscape公司于1994年推出的一种安全通信协议。你现在浏览的是第七十四页，共95页SSL协议协议nSSL协议的设计目标nSSL协议被设计用来使用TCP提供一个可靠的端到端安全服务n为两个通讯个体之间提供保密性和完整性nSSL协议的使用n使用SSL协议的浏览器：nNets
31、cape的Navigatorn微软的Internet Explorer你现在浏览的是第七十五页，共95页SSL协议协议Internet ExplorerInternet Explorer中中的的SSLSSL设置设置你现在浏览的是第七十六页，共95页SSL协议协议nSSL主要工作流程包括：n网络连接建立；n与该连接相关的加密方式和压缩方式选择；n双方的身份识别；n本次传输密钥的确定；n加密的数据传输；n网络连接的关闭。你现在浏览的是第七十七页，共95页SSL协议协议nSSLSSL协议分为两层协议分为两层n底层：底层：SSLSSL记录协议记录协议n上层：上层：SSLSSL握手协议、握手协议、SSL
32、SSL更改密码说明协更改密码说明协议、议、SSLSSL报警协议报警协议你现在浏览的是第七十八页，共95页SSL协议协议nSSL 协议提供的服务可以归纳为如下三个方面：n（1）用户和服务器的合法性认证n（2）加密数据以隐藏被传送的数据n（3）维护数据的完整性。你现在浏览的是第七十九页，共95页SSL协议（握手）协议（握手）发送消息发送消息回复回复对话对话发送消息发送消息开始对话开始对话对话对话算法算法公钥、证书公钥、证书信息信息公钥、会钥公钥、会钥SSL握手协议通讯原理图握手协议通讯原理图 你现在浏览的是第八十页，共95页SSL协议协议nSSL记录协议 SSL记录协议为SSL连接提供两种服务：机
33、密性和报文完整性。你现在浏览的是第八十一页，共95页SSL协议协议客客户户商商家家银银行行（1 1）客户将购买信息发送给商家。）客户将购买信息发送给商家。（2 2）商家将顾客的转账信息转发给银行。）商家将顾客的转账信息转发给银行。（3 3）银行验证客户的转账信息的合法性。）银行验证客户的转账信息的合法性。（4 4）商家通知客户购买成功，并给客户发货。）商家通知客户购买成功，并给客户发货。你现在浏览的是第八十二页，共95页SSL协议的缺陷协议的缺陷nSSL除了传输过程以外不能提供任何安全保证，n不能使客户确信商家接收信用卡支付是得到授权的。n商家服务器不能确保客户信用卡信息的安全你现在浏览的是第
34、八十三页，共95页SET协议协议1.SET协议简介n安全电子交易协议，是从英文Secure Electronic Transaction三个英文单词得来的，所以我们简称为SET协议。你现在浏览的是第八十四页，共95页SET协议协议nSETSET协议是由维萨协议是由维萨(Visa)(Visa)和万事达（和万事达（MasterCardMasterCard）两大信用卡公司于两大信用卡公司于19971997年年5 5月推出的，月推出的，n目的就是保证在互联网上在线购物时电子支付的目的就是保证在互联网上在线购物时电子支付的安全性：即信息的机密性、完整性、身份的合法安全性：即信息的机密性、完整性、身份的合
35、法性和抗抵赖性。由于得到了很多大公司，像微软、性和抗抵赖性。由于得到了很多大公司，像微软、IBMIBM、HPHP等的支持，它已经成为了事实上的工业标等的支持，它已经成为了事实上的工业标准。准。你现在浏览的是第八十五页，共95页SET协议协议2 2、SETSET协议是应用层的协议协议是应用层的协议n是一种基于消息流的协议，它是面向是一种基于消息流的协议，它是面向B2CB2C（Business to ConsumerBusiness to Consumer，企业对消费者），企业对消费者）模式的，模式的，n完全针对信用卡来制定，涵盖了信用卡在电子完全针对信用卡来制定，涵盖了信用卡在电子商务交易中的交
36、易协议信息保密、资料完整等商务交易中的交易协议信息保密、资料完整等各个方面。各个方面。你现在浏览的是第八十六页，共95页SET协议协议3.SET交易的参与方介绍交易的参与方介绍n（1）持卡人）持卡人n（2）发卡机构）发卡机构n（3）商家）商家n（4）收单银行）收单银行n（5）支付网关）支付网关n（6）数字证书认证中心（）数字证书认证中心（Certificate Authority，简称，简称CA）你现在浏览的是第八十七页，共95页SET协议协议持卡人商家银行网关1初始化请求2初始化应答3 购物请求6购物应答4授权请求5授权响应7请款请求8请款响应你现在浏览的是第八十八页，共95页SET协议协议你现在浏览的是第八十九页，共95页SET协议协议你现在浏览的是第九十页，共95页SET协议协议你现在浏览的是第九十一页，共95页 SET协议协议你现在浏览的是第九十二页，共95页SET协议协议你现在浏览的是第九十三页，共95页你现在浏览的是第九十四页，共95页你现在浏览的是第九十五页，共95页